數(shù)字孿生是實(shí)體、結(jié)構(gòu)或系統(tǒng)的一種數(shù)字表示，可以讓企業(yè)更好地了解這些對(duì)象的生命周期，同時(shí)，這也可能為網(wǎng)絡(luò)攻擊者打開(kāi)大門(mén)。

數(shù)字孿生可以為任何物理基礎(chǔ)設(shè)施創(chuàng)建，包括發(fā)動(dòng)機(jī)、渦輪和其他設(shè)備的單個(gè)組件，或者工廠和數(shù)據(jù)中心。

通用電氣公司全球研究執(zhí)行技術(shù)總監(jiān)Justin John表示：“數(shù)字孿生與普通模型的不同之處在于，它是在現(xiàn)場(chǎng)部署的特定序列號(hào)的數(shù)字模型。數(shù)字孿生或者有實(shí)體的支持，或者已經(jīng)通過(guò)歷史數(shù)據(jù)了解了資產(chǎn)是如何運(yùn)作的，現(xiàn)在要用它來(lái)進(jìn)行預(yù)測(cè)?！?/p>

數(shù)字孿生可以擴(kuò)大規(guī)模來(lái)模擬復(fù)雜的系統(tǒng)。他說(shuō)，“用戶(hù)可能有五六個(gè)不同的模型，然后將它們組合在一起，得到感興趣的業(yè)務(wù)結(jié)果?！?/p>

在某些情況下，數(shù)字孿生可用于直接控制它們所鏡像的資產(chǎn)。

首席信息安全官面臨的數(shù)字孿生挑戰(zhàn)

通過(guò)使用來(lái)自數(shù)字孿生的數(shù)據(jù)，可以調(diào)整現(xiàn)實(shí)世界中的設(shè)備或系統(tǒng)，使其盡可能高效地工作，以節(jié)省成本并延長(zhǎng)其生命周期，但這也會(huì)給自身帶來(lái)安全風(fēng)險(xiǎn)。

Gartner公司物聯(lián)網(wǎng)研究副總裁Alfonso Velosa表示，不幸的是，雖然首席信息安全官應(yīng)該是數(shù)字孿生項(xiàng)目的主要利益相關(guān)者，但他們幾乎從來(lái)都不是最終的決策者。

他說(shuō)：“由于數(shù)字孿生是推動(dòng)業(yè)務(wù)流程轉(zhuǎn)型的工具，業(yè)務(wù)或運(yùn)營(yíng)部門(mén)通常會(huì)主導(dǎo)這一舉措。大多數(shù)數(shù)字孿生都是為滿(mǎn)足特定的業(yè)務(wù)需求而定制的。”

Velosa表示，當(dāng)企業(yè)購(gòu)買(mǎi)新的資產(chǎn)時(shí)，無(wú)論是卡車(chē)、挖土機(jī)、電梯、壓縮機(jī)還是冰箱，通常都會(huì)附帶數(shù)字孿生對(duì)象。他說(shuō)，“大多數(shù)運(yùn)營(yíng)團(tuán)隊(duì)將需要一套簡(jiǎn)化的、多部門(mén)的支持(不僅僅是首席信息安全官的支持)，以將其整合到更廣泛的業(yè)務(wù)流程中并管理安全?！?/p>

如果沒(méi)有適當(dāng)?shù)木W(wǎng)絡(luò)安全控制，數(shù)字孿生可能會(huì)擴(kuò)大企業(yè)的攻擊面，使威脅行為者能夠訪問(wèn)以前無(wú)法訪問(wèn)的控制系統(tǒng)，并暴露出預(yù)先存在的漏洞。

擴(kuò)大網(wǎng)絡(luò)攻擊面

當(dāng)一個(gè)系統(tǒng)的數(shù)字孿生被創(chuàng)建時(shí)，潛在的攻擊面有效地加倍，而網(wǎng)絡(luò)攻擊者可以跟蹤系統(tǒng)本身，也可以攻擊該系統(tǒng)的數(shù)字孿生系統(tǒng)。

有時(shí)，當(dāng)?shù)讓酉到y(tǒng)不容易從外部訪問(wèn)時(shí)，數(shù)字孿生可能會(huì)暴露企業(yè)以前隱藏的部分。例如在過(guò)去，數(shù)據(jù)中心中的電源設(shè)施可能只能位于控制終端附近的技術(shù)人員訪問(wèn)。這種基礎(chǔ)設(shè)施的數(shù)字孿生可以讓技術(shù)人員遠(yuǎn)程監(jiān)控設(shè)備，如果黑客設(shè)法獲得訪問(wèn)和操作權(quán)限，也可以這樣做。

而且，現(xiàn)在對(duì)外泄露的不僅是以前無(wú)法獲取的傳感器數(shù)據(jù)。Gartner公司的Velosa表示：“在某些情況下，數(shù)字孿生可以發(fā)送控制信號(hào)，改變(被建模的)實(shí)際物體的狀態(tài)?！?/p>

Velosa表示，當(dāng)數(shù)字孿生是由實(shí)時(shí)數(shù)據(jù)提供的業(yè)務(wù)運(yùn)營(yíng)模型時(shí)，它們可以收集關(guān)鍵的企業(yè)信息，有時(shí)還可以收集員工和客戶(hù)的個(gè)人身份信息。這使得他們成為誘人的目標(biāo)。

根據(jù)數(shù)據(jù)主權(quán)地理位置的不同，這可能導(dǎo)致監(jiān)管和合規(guī)性處罰。他補(bǔ)充說(shuō):“這也凸顯了數(shù)據(jù)的重要性，因?yàn)閿?shù)字孿生是為了實(shí)現(xiàn)業(yè)務(wù)目標(biāo)而構(gòu)建的?！?/p>

Velosa警告說(shuō)，因此，數(shù)字孿生的輸出不僅可以告訴對(duì)手在做什么，還可以為企業(yè)的戰(zhàn)略和未來(lái)方向提供有價(jià)值的見(jiàn)解。

此外，咨詢(xún)機(jī)構(gòu)NCC集團(tuán)首席信息官Lawrence Munro表示，數(shù)字孿生與物理孿生是相互關(guān)聯(lián)的，這種關(guān)聯(lián)本身就為孿生之間的交互提供了額外的攻擊向量，如果其中一個(gè)受到損害的話(huà)。

Munro說(shuō)，部署數(shù)字孿生，讓內(nèi)部用戶(hù)或第三方進(jìn)行遠(yuǎn)程監(jiān)控。這可能會(huì)帶來(lái)遠(yuǎn)程用戶(hù)能夠通過(guò)網(wǎng)絡(luò)連接訪問(wèn)物理孿生的威脅。

首席信息安全官不知道擁有數(shù)字孿生的資產(chǎn)

數(shù)字孿生最主要的用例之一是使運(yùn)營(yíng)技術(shù)更易于訪問(wèn)和管理。不幸的是，在運(yùn)營(yíng)技術(shù)領(lǐng)域，網(wǎng)絡(luò)安全通常是事后才考慮的事項(xiàng)，許多系統(tǒng)運(yùn)行在不能保證安全的傳統(tǒng)技術(shù)上。

咨詢(xún)和SaaS管理軟件機(jī)構(gòu)Zluri公司的首席信息安全官Todd Dekkinga表示，如果網(wǎng)絡(luò)攻擊者獲得了運(yùn)營(yíng)技術(shù)，他們可有會(huì)對(duì)企業(yè)造成很大的傷害，而數(shù)字孿生會(huì)增加這種風(fēng)險(xiǎn)。

Dekkinga說(shuō)，數(shù)字孿生比實(shí)體孿生更容易獲得。運(yùn)營(yíng)技術(shù)環(huán)境過(guò)去被認(rèn)為是獨(dú)立的，但現(xiàn)在不再是這樣?，F(xiàn)在它們是完全連接的、可訪問(wèn)的，而且很容易被破壞。

首席信息安全官甚至可能不知道擁有數(shù)字孿生的運(yùn)營(yíng)技術(shù)資產(chǎn)的完整列表。Dekkinga說(shuō)，“如果不知道擁有什么，它就無(wú)法得到保護(hù)。”

暴露潛在的漏洞

數(shù)字孿生依賴(lài)于物聯(lián)網(wǎng)傳感器的輸入，這些傳感器可能充滿(mǎn)漏洞，以及運(yùn)行易受攻擊的傳統(tǒng)操作系統(tǒng)。

根據(jù)Nozomi Networks公司在今年8月發(fā)布的一份安全報(bào)告，在2022年上半年，有560個(gè)美國(guó)工控系統(tǒng)網(wǎng)絡(luò)應(yīng)急響應(yīng)小組(ICS-CERT)發(fā)布了與運(yùn)營(yíng)技術(shù)和物聯(lián)網(wǎng)相關(guān)的常見(jiàn)漏洞，其中109個(gè)漏洞直接影響關(guān)鍵制造業(yè)。

NCC集團(tuán)的Munro表示：“由于這些設(shè)備的安全性普遍較差，因此，將物聯(lián)網(wǎng)設(shè)備用作數(shù)據(jù)孿生設(shè)置中的傳感器是一個(gè)令人擔(dān)憂(yōu)的問(wèn)題。在數(shù)字孿生方面，網(wǎng)絡(luò)安全專(zhuān)業(yè)知識(shí)往往存在滯后。

研究人員或工程師通常很難接觸到新技術(shù)，也很難獲得運(yùn)行實(shí)例。這對(duì)獲得正確的專(zhuān)業(yè)知識(shí)來(lái)支持保護(hù)這些平臺(tái)帶來(lái)了挑戰(zhàn)?！?/p>

如何確保數(shù)字孿生的安全

保護(hù)數(shù)字孿生的最佳實(shí)踐首先是在部署團(tuán)隊(duì)中包括網(wǎng)絡(luò)安全專(zhuān)家，遵循基本的網(wǎng)絡(luò)安全，并采用零信任原則。

Munro表示，部署數(shù)字孿生的企業(yè)應(yīng)該與安全專(zhuān)家合作，建立詳細(xì)的威脅模型。與任何新技術(shù)一樣，首席信息安全官應(yīng)該設(shè)法了解它引入的威脅模型及其對(duì)網(wǎng)絡(luò)攻擊面的影響。

Munro建議，企業(yè)內(nèi)部可能并不總是有所需的專(zhuān)業(yè)知識(shí)，有一種解決方案是與網(wǎng)絡(luò)安全行業(yè)的合作伙伴合作。

Gartner公司的Velosa表示，部署數(shù)字孿生的企業(yè)應(yīng)該從一開(kāi)始就遵循良好的網(wǎng)絡(luò)安全原則。他說(shuō)，“從策略到技術(shù)再到標(biāo)準(zhǔn)，在他們的設(shè)計(jì)中利用安全最佳實(shí)踐。從加密到NIST或TLS策略，再到基于角色的訪問(wèn)控制?！?/p>

他表示，數(shù)字孿生的設(shè)計(jì)和開(kāi)發(fā)應(yīng)該得到適當(dāng)?shù)馁Y助，并在專(zhuān)注于降低風(fēng)險(xiǎn)和符合法規(guī)。盡可能避免使用個(gè)人數(shù)據(jù)，并公開(kāi)在哪里收集數(shù)據(jù)，為什么收集數(shù)據(jù)，以及如何保護(hù)數(shù)據(jù)。企業(yè)IT部門(mén)與采購(gòu)部門(mén)合作，確保不僅擁有數(shù)字孿生中的數(shù)據(jù)，還擁有模型。

Zluri公司的Dekkinga表示，數(shù)字孿生應(yīng)該像網(wǎng)絡(luò)上的其他關(guān)鍵設(shè)備一樣受到保護(hù)。不僅在外圍植入零信任架構(gòu)，還可以通過(guò)細(xì)分、多因素身份驗(yàn)證和其他技術(shù)保護(hù)內(nèi)部網(wǎng)絡(luò)。員工訪問(wèn)這些系統(tǒng)可能需要額外的步驟，但采取這些措施是值得的。

數(shù)字孿生如何幫助提高網(wǎng)絡(luò)安全

但數(shù)字孿生不僅僅是企業(yè)的安全責(zé)任。一些企業(yè)正在利用它們來(lái)提高網(wǎng)絡(luò)安全，將其作為攻擊預(yù)警系統(tǒng)、蜂蜜陷阱和測(cè)試沙盒。

數(shù)字孿生可以通過(guò)創(chuàng)建用于安全測(cè)試的虛擬克隆來(lái)幫助企業(yè)清除系統(tǒng)中的漏洞。它們可以幫助提高網(wǎng)絡(luò)安全，因?yàn)樗鼈兡軌蛞苑从硨?shí)際系統(tǒng)的方式對(duì)網(wǎng)絡(luò)漏洞做出反應(yīng)。

咨詢(xún)機(jī)構(gòu)Booz Allen公司的副總裁Kevin Coggins表示：“可以通過(guò)多種方式得到反饋，包括在數(shù)字孿生上運(yùn)行實(shí)際系統(tǒng)軟件或固件?！?/p>

在投入生產(chǎn)之前，它們可以用于測(cè)試昂貴的物理系統(tǒng)是否存在漏洞，例如航空電子設(shè)備。Coggins說(shuō)：“網(wǎng)絡(luò)攻擊者不能親自到機(jī)場(chǎng)對(duì)飛機(jī)施加某種威脅，因?yàn)檎麄€(gè)認(rèn)證過(guò)程將會(huì)使其行為失效。如果攻擊其數(shù)字孿生系統(tǒng)，就會(huì)發(fā)現(xiàn)任何潛在的漏洞?！?/p>

Booz Allen公司與軟件開(kāi)發(fā)商Unity Technologies公司合作，為其客戶(hù)制作了一個(gè)大型設(shè)施的三維物聯(lián)網(wǎng)數(shù)字孿生系統(tǒng)。他表示，這使他們能夠查看系統(tǒng)中的漏洞，以確定某人可能會(huì)對(duì)其進(jìn)行訪問(wèn)。

即使它們本身不是生產(chǎn)系統(tǒng)，這些數(shù)字孿生系統(tǒng)也應(yīng)該得到相同級(jí)別的安全保護(hù)。Coggins說(shuō)：“有人采用數(shù)字孿生系統(tǒng)進(jìn)行培訓(xùn)。如果制作數(shù)字孿生系統(tǒng)，需要保護(hù)其生存環(huán)境。”

數(shù)字孿生還可以充當(dāng)一種威脅檢測(cè)系統(tǒng)，網(wǎng)絡(luò)攻擊者的入侵將產(chǎn)生網(wǎng)絡(luò)安全團(tuán)隊(duì)可以感受到的威脅。

通用電氣公司使用數(shù)字孿生作為高度敏感傳感器層，該公司正在建造一種他們稱(chēng)之為“數(shù)字幽靈”的系統(tǒng)。例如，如果網(wǎng)絡(luò)攻擊者攻擊關(guān)鍵基礎(chǔ)設(shè)施的關(guān)鍵部分，即使他們能夠偽造特定傳感器的輸出，數(shù)字孿生作為一個(gè)整體也會(huì)認(rèn)識(shí)到問(wèn)題，因?yàn)檎麄€(gè)系統(tǒng)將不再像預(yù)測(cè)的那樣運(yùn)行，或者與其他傳感器的信息流不匹配。

通用電氣的John表示，事實(shí)上，系統(tǒng)越復(fù)雜越好，因?yàn)樗鼘⒂懈嗟膫鞲衅?，從而有更多的可觀測(cè)性。

關(guān)鍵基礎(chǔ)設(shè)施是部署數(shù)字孿生來(lái)幫助提高網(wǎng)絡(luò)安全的一個(gè)用武之地。John說(shuō)：“事實(shí)上，我們可以很好地預(yù)測(cè)事情應(yīng)該如何運(yùn)行，特別是如果把控制與數(shù)字孿生模型集成在一起，可以用它來(lái)判斷是否正在發(fā)生網(wǎng)絡(luò)攻擊。查看所有使資產(chǎn)正常運(yùn)行的過(guò)程變量(氣流、壓力、溫度)，可以檢查這些是否都正常或異常，找出問(wèn)題在哪里，并告訴運(yùn)營(yíng)人員。”

他說(shuō):“我們正在使用數(shù)字孿生系統(tǒng)，但我們不希望網(wǎng)絡(luò)攻擊者知道，所以它是一個(gè)數(shù)字幽靈?！?/p>

他說(shuō)，數(shù)字幽靈不僅可以用來(lái)保護(hù)關(guān)鍵基礎(chǔ)設(shè)施的安全，還可以用來(lái)保護(hù)企業(yè)數(shù)據(jù)中心的運(yùn)營(yíng)技術(shù)。典型的運(yùn)營(yíng)技術(shù)網(wǎng)絡(luò)安全是關(guān)于查看網(wǎng)絡(luò)流量、防火墻和檢測(cè)病毒。

他表示，通用電氣對(duì)數(shù)字幽靈的愿景更多地是關(guān)于基礎(chǔ)實(shí)物資產(chǎn)的運(yùn)營(yíng)方式。他說(shuō)，“我們需要了解的是，正常情況下的實(shí)施情況是什么，如何正常運(yùn)營(yíng)這些資產(chǎn)。如果有這些知識(shí)和大量的模擬數(shù)據(jù)或歷史數(shù)據(jù)，就可以很好地描述資產(chǎn)應(yīng)該如何運(yùn)營(yíng)?！?/p>

John表示，數(shù)字幽靈將能夠檢測(cè)到是否有問(wèn)題，并準(zhǔn)確地告知哪個(gè)傳感器受損。他說(shuō)，“僅這一項(xiàng)通常就需要運(yùn)營(yíng)商幾天或幾周的時(shí)間來(lái)確定問(wèn)題所在，而數(shù)字幽靈在幾秒鐘內(nèi)就能做到這一點(diǎn)。”